Wer betreibt das KI-System, wenn der Entwickler nicht mehr danebensteht?

Ein KI-System, das nach dem Pilotprojekt in den Alltag übergeht, verliert seinen Projektstatus, nicht seine Risiken. Wenn der Entwickler oder Dienstleister sich zurückzieht, während das System weiterläuft, lohnt sich ein Blick darauf, wer ab diesem Punkt die Aufsicht trägt.

Was die KI-Verordnung unter Anbieter und Betreiber versteht

Die KI-Verordnung trennt zwei Rollen klar über den Punkt der Verantwortung im Einsatz. Als Anbieter gilt, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Handelsmarke in Verkehr bringt. Als Betreiber gilt, wer ein KI-System in eigener Verantwortung verwendet, außerhalb einer rein privaten Tätigkeit (Artikel 3, KI-Verordnung, AI Act Service Desk der Europäischen Kommission). Für ein mittelständisches Unternehmen, das ein KI-System einkauft oder entwickeln lässt und im eigenen Betrieb einsetzt, bedeutet das in aller Regel: Es ist Betreiber, mit eigenen Pflichten, unabhängig davon, wer das System gebaut hat. Der Dienstleister, der den Piloten aufgesetzt hat, bleibt Anbieter oder wird zum Auftragnehmer für Wartung, er wird nicht automatisch zum dauerhaften Betreiber.

Wichtig ist außerdem der Begriff der wesentlichen Veränderung: Wird ein System nach der Inbetriebnahme so verändert, dass sich seine Zweckbestimmung ändert oder eine ursprüngliche Konformitätsbewertung nicht mehr trägt, berührt das die rechtliche Einordnung neu (Artikel 3, ebenda). Wer im Betrieb eigenmächtig neue Anwendungsfälle an ein bestehendes System andockt, sollte das wissen, bevor es passiert, nicht danach.

Welche Pflichten konkret an der Betreiberrolle hängen

Für Hochrisiko-KI-Systeme benennt die Verordnung konkrete Pflichten. Betreiber müssen die Systeme gemäß den Betriebsanleitungen einsetzen, sie mit kompetenter menschlicher Aufsicht nutzen, ihren Betrieb überwachen, Eingabedaten verwalten und Protokolle mindestens sechs Monate lang aufbewahren (Artikel 26, KI-Verordnung (EU) 2024/1689, AI Act Service Desk der Europäischen Kommission). Die menschliche Aufsicht ist dabei nicht irgendeine Aufgabe, die nebenbei miterledigt wird: Sie muss natürlichen Personen übertragen werden, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen, mit der nötigen Unterstützung ausgestattet (Artikel 26, Absatz 2, ebenda).

Das beantwortet die Ausgangsfrage fast wörtlich. Nicht „die IT“ trägt die Aufsicht, nicht automatisch der frühere Projektverantwortliche, sondern eine benannte Person mit nachweisbarer Kompetenz, Ausbildung und der Befugnis, tatsächlich einzugreifen. Auch unterhalb der Hochrisiko-Schwelle halte ich diese Grundlogik für richtig: Aufsicht, die niemand konkret trägt, ist keine Aufsicht.

Diese Betreiberpflichten für Hochrisiko-Systeme kommen mit einer Übergangszeit. Die Änderungsverordnung AI Omnibus verschiebt den Anwendungsbeginn der Hochrisiko-Regeln: für Systeme nach Annex III auf den Stichtag „2 December 2027“, für in Produkte eingebettete Hochrisiko-Systeme nach Annex I, etwa in Maschinen oder Aufzügen, auf „2 August 2028“ (englische Originaldaten der Kommissionsmeldung; AI Omnibus enters into force, Europäische Kommission, Juli 2026). Die Übergangszeit dient der Vorbereitung der Betriebsorganisation, nicht ihrem Aufschub.

Wo die Aufsicht endet und der Datenschutz weiterträgt

Ein zweiter Verantwortungsstrang läuft parallel: der Datenschutz. Verarbeitet das KI-System personenbezogene Daten, etwa Mitarbeiter-, Kunden- oder Bewerberdaten, bleibt datenschutzrechtlich Verantwortlicher, wer über die Zwecke und Mittel der Verarbeitung entscheidet (Verantwortlicher oder Auftragsverarbeiter, Europäischer Datenschutzausschuss, SME-Guide). Das ist beim eingesetzten KI-System das einsetzende Unternehmen selbst, nicht der Entwickler und nicht der Softwareanbieter. Das gilt so lange, wie das System läuft, nicht nur bis zum Projektende.

Aus der Rollentrennung der KI-Verordnung und der datenschutzrechtlichen Verantwortung folgt für mich: Die Frage, wer Aufsicht, Kompetenz und Verantwortung trägt, gehört vor die Investitionsentscheidung, denn ein technisch überzeugender Pilot ist aus meiner Sicht noch nicht investitionsreif, solange sie offen ist.

Was das für die Entscheidung im eigenen Haus bedeutet

Unter den EU-Unternehmen, die KI nicht einsetzten, den Einsatz aber bereits erwogen hatten, war fehlende Fachkompetenz der häufigste genannte Grund für den Nichtgebrauch, gefolgt von Unklarheit über die rechtlichen Folgen und Datenschutzbedenken (Eurostat, Statistics Explained, Dezember 2025). Das deckt sich mit der Betreiberpflicht aus Artikel 26, kompetente, ausgebildete und befugte Personen mit der Aufsicht zu betrauen: Fehlt diese Kompetenz im Haus, betrifft das den Kern der Betriebsfrage.

Für die Entscheidung nach dem Piloten heißt das konkret: Bevor über Skalieren entschieden wird, sollte entlang der Betreiberpflichten aus Artikel 26 feststehen, wer im Unternehmen namentlich die menschliche Aufsicht übernimmt, welche Kompetenz und Befugnis diese Person dafür braucht, wie Protokolle geführt und mindestens sechs Monate aufbewahrt werden, und wer datenschutzrechtlich für die verarbeiteten Daten geradesteht. Sind solche Punkte beim Go-Live noch offen, würde ich das Projekt deshalb nicht stoppen, wohl aber die Investitionsentscheidung vertagen, bis die Betriebsorganisation steht. Ob die verschobenen Hochrisiko-Fristen den Mittelstand zu mehr Vorbereitung bewegen oder das Thema eher aufschieben lassen, ist noch nicht belegt.